Медкарты в заброшенной больнице: 645 тысяч евро за бумажный архив

Я по заголовку решил, что опять кого-то взломали, но нет. В Ирландии есть две закрытые психиатрические больницы, St. Loman's в Маллингаре и St. Conal's в Леттеркенни. В 2023 году туда залезли посторонние и выложили видео в соцсети. На видео было видно, что в пустых зданиях до сих пор лежат медкарты.

Что сказало ведомство

Ирландская комиссия по защите данных (DPC) начала проверку 24 мая 2024 года. Отвечать пришлось HSE, государственной службе здравоохранения. 25 августа ей дали выговор, предписания и штраф 645 000 евро.

Мне понравилось, что сумму расписали по пунктам. 300 000 за то, что бумагу не защитили, и еще 300 000 за то, что держали ее дольше нужного. Еще 30 000 за то, что не сообщили регулятору за 72 часа, и 15 000 за то, что не сообщили людям.

Как это хранилось, описал замкомиссара Грэм Дойл (перевод наш):

Записи хранились в заброшенных туалетах и кабинках, в морском контейнере в сарае для торфа, в комнатах без света и отопления.

Часть бумаг, по его словам, испортила вода, часть почти съела плесень. HSE теперь должна проверить все места хранения и вывезти архивы из негодных помещений.

Что это значит для бизнеса

Меня зацепила именно вторая строчка. Триста тысяч не за утечку, а за то, что старые карты никто не уничтожил. Лишняя бумага в подсобке уже нарушение, даже если туда никто не залез.

У малого бизнеса таких подсобок, по-моему, полно. Салон годами хранит анкеты, стоматология карты, детская студия заявления родителей. Обычно в коробках, и где они после переезда, никто не помнит.

У нас в 152-ФЗ та же логика: данные хранят, пока они нужны для цели, потом уничтожают. С 1 марта 2023 года уничтожение оформляют актом по требованиям Роскомнадзора. Для бумаги есть еще постановление № 687 про хранение носителей.

Я бы на месте владельца начал с простого списка, какие бумаги с данными клиентов у вас есть и где лежат. Потом для каждой поставил бы срок. Все, что его пережило, уничтожил бы с актом, а остальное убрал бы в шкаф с замком.

Кто ещё об этом написал

В нашей ленте русскоязычных материалов об этом решении нет. Объявление DPC есть на dataprotection.ie, пересказ на сайте EDPB, оба по-английски.